Strumento di audit di sicurezza open source per cercare e scaricare la configurazione di sistema.

Introduzione

Obiettivo principale

L'idea principale alla base di questo strumento era quella di fornire più facilmente e più velocemente set di comandi da eseguire negli ambienti dei clienti. Come risultato di tale scansione, volevo ottenere le informazioni più utili sui componenti del sistema che saranno sottoposti a test di penetrazione e audit in un secondo momento.

A chi è rivolto

Otseca facilita la raccolta di molte informazioni importanti su un determinato sistema.

È utile per:

    :ballot_box_with_check: amministratori di sistema
    :ballot_box_with_check: ricercatori di sicurezza
    :ballot_box_with_check: professionisti della sicurezza
    :ballot_box_with_check: pentesters
    :ballot_box_with_check: hacker

Come usarlo

È semplice:

# Clona questo repository
git clone https://github.com/trimstray/otseca

# Entra nel repository
cd otseca

# Installa
./setup.sh install

# Esegui l'app
otseca --ignore-failed --tasks system,network --output /tmp/report

il collegamento simbolico a bin/otseca viene posizionato in /usr/local/bin

la pagina man viene posizionata in /usr/local/man/man8

Suggerimento 1 Se non vuoi che lo script si fermi dopo aver incontrato errori, aggiungi il parametro --ignore-failed.

Suggerimento 2 Solo le attività selezionate usando il parametro --tasks <task_1,task_2,task_n>.

Descrizione

Otseca è uno strumento di audit di sicurezza open source per cercare e scaricare la configurazione di sistema. Permette di generare report in formato HTML o RAW-HTML.

L'obiettivo di base è ottenere quante più informazioni possibili sul sistema scansionato per un'analisi successiva. Otseca contiene molti comandi predefiniti, ma nulla impedisce di crearne di propri in base alle proprie esigenze. Inoltre, automatizza l'intero processo di raccolta delle informazioni.

Al termine della scansione, viene generato un report per esaminare specifici aspetti del sistema.

Requisiti

Questo strumento funziona con:

GNU/Linux (testato su Debian e CentOS)
Bash (testato su 4.4.19)

Servono anche i privilegi di root.

Output

Un esempio del risultato del processo di raccolta delle informazioni dal sistema locale:

Master

Parametri

Di seguito è riportato un elenco delle opzioni disponibili:

  Utilizzo:
    otseca <opzione|opzione-lunga>

  Esempi:
    otseca --help
    otseca --format html
    otseca --format html --ignore-failed
    otseca --format raw-html --tasks system,network

  Opzioni:
        --help                      mostra questo messaggio
     -f|--format <key>              imposta il formato di output (key: html/raw-html)
     -t|--tasks <key>               imposta un'attività specifica da eseguire
                                    (key: system, kernel, permissions, services, network, distro, external)
     -o|--output <path>             imposta il percorso della directory di output del report
        --show-errors               mostra stderr nell'output
        --ignore-failed             non uscire con codice di errore sui comandi falliti

Report

Otseca genera report in formato html (js, css e altro) o raw-html (html puro).

Il percorso predefinito per i report è la directory {project}/data/output. Se vuoi cambiarlo, aggiungi l'opzione --output <path> alla chiamata dello script.

Pagina principale (index.html)

È il file principale che contiene un elenco di report come sistema o rete.

Master

Report delle attività

Il report che può essere eseguito è composto dalle seguenti sezioni (stack):

system - scarica le informazioni dai comandi di sistema (file di output: system.all.log.html)
kernel - scarica le informazioni sui parametri del kernel (file di output: kernel.all.log.html)
permissions - scarica le informazioni sui permessi (file di output: permissions.all.log.html)
services - scarica le informazioni sui servizi di sistema (file di output: services.all.log.html)
network - scarica le informazioni dal livello di rete (file di output: network.all.log.html)
distro - scarica le informazioni sulla distribuzione specifica (file di output: distro.all.log.html)
external - tutte le attività esterne, incluse le attività utente o incluse dalla directory etc/ (file di output: external.all.log.html)

I report HTML sono composti dai seguenti blocchi (esempio):

Master

Come funziona

Attività

Otseca divide il suo lavoro in attività. Ogni insieme di attività esegue comandi definiti (ad esempio dal file etc/otseca.conf). Per impostazione predefinita sono disponibili sei attività: system, kernel, permissions, services, network, distro ed external.

Per impostazione predefinita vengono eseguite tutte le attività, ma puoi specificarle con il parametro --tasks passando una o più attività come argomento. Ad esempio:

otseca --ignore-failed --tasks system,kernel

Comandi

Sono i comandi effettivi eseguiti dal file di configurazione raggruppati in attività.

Ecco un esempio di attività di rete contenente diversi comandi incorporati:

NETWORK_STACK=(\

  "_exec hostname -f" \
  "_exec ifconfig -a" \
  "_exec iwconfig" \
  "_exec netstat -tunap" \
  "_exec netstat -rn" \
  "_exec iptables -nL -v" \
  "_exec iptables -nL -v -t nat" \
  "_exec iptables -S" \
  "_exec lsof -ni" \

)

Sottomoduli

I sottomoduli sono funzioni incorporate che eseguono i comandi sopra descritti. Ecco l'elenco dei sottomoduli:

_exec - inizializza i comandi standard, es. _exec ls -l /etc/rsyslog.conf
_grep - cerca stringhe nei file, es. _grep max_log_file /etc/audit/auditd.conf
_stat - raccoglie informazioni sui file, es. _stat /etc/ssh/sshd_config
_sysctl - confronta i valori dei parametri del kernel, es. _sysctl fs.suid_dumpable 1
_systemctl - controlla il funzionamento dei servizi, es. _systemctl httpd

Stati di output

Otseca supporta tre stati di output (risposta):

DONE - informa che il comando è stato eseguito correttamente, il più delle volte significa che non è stato trovato ciò che si cercava, il che è una buona informazione. Il report è contrassegnato in verde:
- dall'output della console:
- dall'output del report:
WARN - informa che il comando non è stato eseguito correttamente (errore di sintassi, comando non trovato, file non trovato, ecc.). Il report è contrassegnato in giallo:
- dall'output della console:
- dall'output del report:
TRUE - informa che il comando è stato eseguito correttamente ed è stato trovato ciò che si cercava, ad esempio permessi troppo ampi per il file /etc/sudoers. Il report è contrassegnato in rosso:
- dall'output della console:
- dall'output del report: